[24.8.2009] Ein Pass für reale und virtuelle Welten soll der elektronische Personalausweis sein und könnte damit auch E-Government einen neuen Schub verleihen. Verwaltung und Wirtschaft jedenfalls setzen große Hoffnungen in das Dokument. Ab Herbst sind erste Tests geplant, welche die unterschiedlichen Anwendungsmöglichkeiten ausloten sollen.

Bürger sollen ihren Personalausweis künftig nicht nur an Grenzkontrollen nutzen, sondern sich damit auch im Internet identifizieren und rechtsverbindlich Geschäfte abschließen können. Das ist die wohl bedeutendste Neuerung des elektronischen Personalausweises (ePA) im Scheckkartenformat, der ab November 2010 ausgegeben wird. Der elektronische Identitätsnachweis wird auf den neuen Ausweisen serienmäßig vorbereitet sein. Die Bürger entscheiden allerdings, ob die Funktion aktiviert wird. Auch ob zusätzlich zum digitalen Foto zwei digitale Fingerabdrücke gespeichert werden, bestimmen die Ausweisinhaber. Zudem besteht die Möglichkeit, eine elektronische Signatur nachzuladen.

Pass für virtuelle Welten

Während man sich heute dutzende Benutzernamen und Passwörter merken muss, soll künftig der Personalausweis genügen. Bei elektronischen Transaktionen muss sich jedoch nicht nur der Ausweisinhaber identifizieren, sondern auch das Gegenüber. Anbieter, die den Personalausweis als vertrauenswürdige Infrastruktur in ihre Dienste einbinden wollen, müssen bei einer staatlichen Stelle ein Berechtigungszertifikat beantragen, um personenbezogene Daten aus dem Ausweis-Chip online erfragen zu dürfen. Für den Ausweisinhaber wird diese Berechtigung am Bildschirm sichtbar. Er kann dann seinen Ausweis auf ein Kartenlesegerät am PC legen, seine Ausweis-PIN eingeben und somit der Übermittlung seiner Daten im Internet zustimmen. Durch dieses Vorgehen soll gewährleistet werden, dass sich beide Partner einer Online-Transaktion der Identität ihres Gegenübers sicher sind.
Das ist gerade auch für E-Government-Angebote von Bedeutung, da Transaktionsdienstleistungen bislang meist an der fehlenden Überprüfbarkeit der Identität gescheitert sind. Die denkbaren Anwendungsmöglichkeiten im Bereich E-Government sind vielfältig und reichen von der Auskunft zum Bearbeitungsstand eines Vorgangs über die Beantragung von Geburtsurkunden oder die Kfz-Ummeldung bis hin zum Projekt Bürgerportale, da für De-Mail eine sichere Erstregistrierung erforderlich ist.

Ausweis im Test

Um zum Zeitpunkt der Einführung bereits möglichst viele Anwendungsmöglichkeiten anbieten zu können, beginnen im Herbst dieses Jahres erste Tests mit dem neuen elektronischen Dokument. Ab Oktober erproben 30 Dienstleister aus Verwaltung und Wirtschaft den elektronischen Identitätsnachweis in Zusammenarbeit mit dem Bundesinnenministerium im Rahmen eines zentral koordinierten Anwendungstests. Im Vordergrund stehen dabei die Integration der neuen Funktion in die IT-Infrastrukturen der Anbieter sowie die Sicherheit und Usability bei der Anwendung. Da sich insgesamt rund 100 Unternehmen und Behörden beworben hatten, haben ab Anfang kommenden Jahres alle interessierten Diensteanbieter die Möglichkeit, im Rahmen eines offenen Anwendungstests die Integration des elektronischen Personalausweises in ihre Lösungen zu erproben. Zur Beantragung und Ausstellung der neuen Ausweisdokumente sind auch in den Verwaltungen andere Prozesse und Technologien nötig. Deshalb finden im Frühjahr 2010 in rund 25 Personalausweisbehörden Testimplementierungen statt. Die Ergebnisse dieses Feldtests fließen laut Bundesinnenministerium ebenso wie die des zentralen Anwendungstests noch vor dem Roll-out in die Projektabwicklung ein.

Kommunaler Pilot

Den Auftrag, den Einsatz des elektronischen Personalausweises im Kontext kommunaler Verwaltungsdienstleistungen zu testen, hat das Konsortium Hagen Rathaus21 erhalten, das sich aus der Stadt Hagen, der Fernuniversität Hagen und dem An-Institut IKS sowie dem Unternehmen SAP zusammensetzt. Der Anwendungstest wird in der westfälischen Stadt mit ausgewählten Szenarien durchgeführt, wobei auf die bestehende E-Government-Prozessplattform Rathaus21 zurückgegriffen werden kann. Für die Auswahl der Teststellungen waren mehrere Bedingungen ausschlaggebend. Es sollte sich um eine bekannte Nutzergruppe handeln, die geschult werden kann. Zudem sollen die Nutzer durch die Teilnahme einen Vorteil haben und zahlreiche kommunale Prozesse abwickeln können. Und schließlich sollen echte Fälle aus der Praxis einbezogen werden. So können beispielsweise Sachbearbeiter des Finanzamtes Hagen über das Rathaus21-Portal Einzelauskünfte über Steuerpflichtige abrufen oder Einzelauskünfte an das Liegenschaftsamt stellen. Im Rahmen eines anderen Testszenarios können Einsatzleiter von Polizei und Feuerwehr für den Fall einer Großschadenslage die Evakuierung eines bestimmten Gebietes durch Eingabe entsprechender Straßenbezeichnungen anordnen.

Akzeptanz schaffen

Wenn es mithilfe der Tests gelingt, bereits bei der Einführung des elektronischen Personalausweises viele attraktive Anwendungen verfügbar zu haben, könnte das entscheidend zur Akzeptanzsteigerung beitragen. Ein weiteres wichtiges Kriterium für die Akzeptanz des ePA ist, dass die Bürger auch technisch die Möglichkeit haben, die Funktionen des neuen Ausweises zu nutzen. Hierzu sind Kartenlesegeräte notwendig. Damit diese möglichst vielen Bürgern kostengünstig angeboten werden können, soll ein Teil der Fördermittel verwendet werden, die im Rahmen des Konjunkturpakets II für IT-Investitionen der Bundesverwaltung zur Verfügung stehen. Die Bundesregierung will die so genannten IT-Sicherheitskits für den ePA mit rund 30 Millionen Euro bezuschussen und hat das Vorhaben in ihrer Antwort auf eine Kleine Anfrage der FDP-Fraktion im Bundestag konkretisiert: Von Januar bis Oktober 2010 sollen die IT-Sicherheitskits an Bürger ausgegeben werden, die an einem geplanten Anwendungstest teilnehmen. Anschließend sollen die Kits bis Ende 2011 mit der Beantragung eines elektronischen Personalausweises ausgegeben werden. Das IT-Sicherheitskit besteht aus einem Kartenlesegerät samt Software zur Nutzung von Personalausweis, Gesundheitskarte und Signaturkarten sowie einer Anti-Viren-Software. Bundesinnenminister Wolfgang Schäuble sagte hierzu auf dem Deutschland-Online-Kongress Anfang Juli in Berlin: „Wir wollen die Nutzer anregen, die neuen Authentisierungs- und Signaturverfahren anzuwenden. Dafür soll mindestens eine Million Privathaushalte mit den erforderlichen Kartenlesegeräten ausgestattet werden. Gelingt die Verdopplung der vorgesehenen Mittel durch einen gemeinsamen Fonds von Staat und Wirtschaft, werden zwei Millionen Privathaushalte das kostenfreie Starter-Kit bekommen können.“

Diskutierte Sicherheit

Damit die Bürger die Funktionen des neuen elektronischen Personalausweises nutzen, müssen sie aber nicht nur technisch die Möglichkeit dazu haben. Vielmehr ist auch Vertrauen in das Dokument ausschlaggebend. Und die Sicherheit des Passes wird nach wie vor diskutiert. So birgt laut Datenschützern die Verwendung des RFID-Chips im Ausweis Datenschutzverletzungen bereits in sich. Bundes-CIO Hans Bernhard Beus sagte dazu im Interview mit Kommune21: „Die Chips, die wir im elektronischen Personalausweis einsetzen werden, unterscheiden sich in der Technik vollständig von denen, wie sie zum Beispiel im Einzelhandel an Stelle des bekannten Barcodes genutzt werden. Im Gegensatz zu diesen sind die Chips im Personalausweis kleine Computer, auf denen komplexe Sicherheitsprotokolle laufen.“ Der ePA könne nicht über eine Entfernung von mehreren Metern ausgelesen oder die Übertragung mitgelesen werden. Die Verbindung zwischen Chip und Lesegerät sei verschlüsselt, das Mitlesen einer Kommunikation von Dritten damit unmöglich. Beus weist noch auf einen anderen Aspekt hin: „Das Bundesamt für Sicherheit in der Informationstechnik hat bei der Entwicklung der Sicherheitsspezifikationen von Anfang an sowohl die deutsche Sicherheitsindustrie, als auch Spezialisten aus dem universitären Umfeld einbezogen, sodass wir heute davon ausgehen können, dass der Ausweis sicher ist. Natürlich werden die eingesetzten Verfahren regelmäßig neu begutachtet und – falls erforderlich – angepasst.“
Laut Professor Dirk Heckmann, Leiter des Instituts für IT-Sicherheit und Sicherheitsrecht an der Universität Passau, sind nicht unbedingt bestimmte IT-Sicherheitsdefizite das Problem, sondern ein Ausblenden der Risiken beziehungsweise eine Verlagerung des Sicherheitsmanagements auf die Bürger. In § 27 Abs. 3 PersAuswG-neu heißt es: „Der Personalausweisinhaber soll durch technische und organisatorische Maßnahmen gewährleisten, dass der elektronische Identitätsnachweis gemäß § 18 nur in einer Umgebung eingesetzt wird, die nach dem jeweiligen Stand der Technik als sicher anzusehen ist. Dabei soll er insbesondere solche technischen Systeme und Bestandteile einsetzen, die vom Bundesamt für Sicherheit in der Informationstechnik als für diesen Einsatzzweck sicher bewertet werden.“ Und dies, so Heckmann, könne der Bürger schlicht und einfach nicht leisten. Der Wissenschaftler bemängelt, dass ein Konzept dafür fehle, wie eine risikobehaftete, nur teilweise und nicht von jedermann beherrschbare Technologie auf eine vertrauenswürdige Basis gestellt werden könne. Er fügt hinzu: „Schon wegen der zahlreichen Datenschutzpannen und Skandale und einem zunehmenden Misstrauen in die (eigentlich vorhandene) Redlichkeit der staatlichen Akteure sind flankierende vertrauensbildende Maßnahmen bei neuen IT-Projekten dringend erforderlich, damit diese nicht nur erduldet, sondern akzeptiert werden.“
Wenn es gelingt, den ePA als Pass für virtuelle Welten zu etablieren und ihm damit das Schicksal der elektronischen Signatur zu ersparen, dann erfüllt sich vielleicht auch die optimistische Prognose von Bundes-CIO Beus, dass innerhalb von zwei Jahren nach der Einführung voraussichtlich mehr als 15 Millionen elektronische Personalausweise im Umlauf sein werden. (rt)

Informationen des BMI zum elektronischen Personalausweis (Deep Link)
Antwort der Bundesregierung auf die Kleine Anfrage der FDP-Fraktion (Deep Link)

Stichwörter: Elektronischer Personalausweis (ePA), Identitätsnachweis, Hagen, Rathaus21, Hans Bernhard Beus, Wolfgang Schäuble, Dirk Heckmann